Oracle JD Edwards EnterpriseOne Orchestrator: Unauthentifizierte Übernahme aus der Ferne (CVSS 10.0)
Zusammenfassung
Eine kritische Schwachstelle in der Komponente E1 IOT Orchestrator Security von Oracle JD Edwards EnterpriseOne Orchestrator betrifft die Versionen 9.2.0.0 bis 9.2.26.5. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff via HTTP kann den Orchestrator vollständig kompromittieren, und durch die Auswirkung auf den Scope können auch weitere Produkte erheblich betroffen sein. Es sind weder Benutzerinteraktion noch Berechtigungen nötig, und der Angriff ist von geringer Komplexität.
Betroffen
- Oracle JD Edwards EnterpriseOne Orchestrator, Versionen 9.2.0.0 bis 9.2.26.5 (gemäss CVE-Eintrag)
Behoben in
Unbekannt. Die korrigierte Version und die Patch-ID sind nicht bestätigt; siehe Oracle Critical Patch Update vom Oktober 2026.
Umgehung
- Kein Workaround des Herstellers gefunden.
- Direkte Internetexposition der HTTP-Schnittstelle des Orchestrators entfernen.
- Zugriff auf administrative Netzwerke beschränken, bis der Oracle-Patch eingespielt ist.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes.
- Nicht in der CISA-KEV-Liste.
- Das Oracle-Advisory bestätigt keine aktive Ausnutzung; bisher ist kein öffentlicher Proof of Concept bestätigt.
- Eine unverifizierte Meldung zu einer Ausnutzung Mitte Oktober 2026 existiert und ist durch Primärquellen nicht bestätigt.
Unsere Empfehlung
- Prüfen, ob JD Edwards EnterpriseOne Orchestrator im Einsatz ist.
- Internetexposition der HTTP-Schnittstelle sofort entfernen und auf administrative Netzwerke beschränken.
- Den Oracle-Fix des Critical Patch Update vom Oktober 2026 einspielen, sobald die genaue Patch-Version bestätigt ist, und die Wirksamkeit prüfen.
- Logs auf ungewöhnliche HTTP-Anfragen an den Orchestrator überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 CPU www.oracle.com
- OpenCVE: CVE-2026-91299 app.opencve.io
- Strix: CVE-2026-91299 www.strix.ai
- CVEBrief daily brief 2026/10/24 cvebrief.com
- eSecurityPlanet: Oracle October 2026 CPU www.esecurityplanet.com
- SecurityOnline: Oracle October 2026 CPU securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:06.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.